วิธีการก่อตั้งบริษัท Identity-Security หรือ Privileged-Access-Management ในสหรัฐอาหรับเอมิเรตส์

จุดเริ่มต้นคือการจัดตั้งบริษัททั่วไป: DET ในดูไบ, กรมพัฒนาเศรษฐกิจที่เทียบเท่าที่อื่น ๆ หรือหน่วยงานฟรีโซน ออกใบอนุญาตภายใต้กิจกรรม เช่น ที่ปรึกษา IT, การพัฒนาซอฟต์แวร์ หรือที่ปรึกษาความปลอดภัยข้อมูล ไม่มีการรักษารหัสกิจกรรม "การจัดการการเข้าถึงพิเศษ" หรือ "การกำกับดูแลอัตลักษณ์" แยกต่างหาก ดังนั้นบริษัทจะได้รับใบอนุญาตเป็นธุรกิจเทคโนโลยีก่อน

สิ่งที่เปลี่ยนการวิเคราะห์ในภายหลังคือบริการ ไม่ใช่ใบอนุญาต ผู้ขายที่ขายซอฟต์แวร์ PAM ให้ลูกค้าติดตั้งและใช้งานเองอยู่ใกล้เคียงกับธุรกิจซอฟต์แวร์ทั่วไปมากกว่า ผู้ให้บริการที่ดำเนินการห้องนิรภัย ถือข้อมูลรับรองผู้ดูแลระบบ หรือจัดการขั้นตอนการเข้าถึงฉุกเฉิน (break-glass) กำลังรับการควบคุมเชิงปฏิบัติการเหนือระบบของผู้อื่น ซึ่งเป็นตัวกำหนดว่าทีมความมั่นคงปลอดภัยและทีมจัดซื้อของลูกค้าจะขอให้บริษัทในยูเออีแสดงสิ่งใดก่อนเชื่อมต่อกับระบบที่ใช้งานจริง

เมื่อลูกค้าปลายทางอยู่ภายใต้การกำกับดูแลเอง เช่น ธนาคาร ตลาดแลกเปลี่ยน หรือหน่วยงานรัฐ หน่วยงานกำกับดูแลของลูกค้านั้นกำหนดความคาดหวังด้านการจ้างบุคคลภายนอกและการควบคุมการเข้าถึง ซึ่งลูกค้าจะบังคับใช้กับซัพพลายเออร์ผ่านสัญญา บริษัทในยูเออีผูกพันตามที่ลูกค้ากำหนด ไม่ได้รับใบอนุญาตจากหน่วยงานกำกับดูแลนั้นโดยตรง

แหล่งข้อมูลที่สำคัญกว่าหมวดหมู่ใบอนุญาต. พระราชกฤษฎีกากฎหมายที่ 45 ปี 2021 ของรัฐบาลกลางควบคุมการประมวลผลข้อมูลส่วนบุคคลของใครก็ตามใน UAE โดยมีข้อยกเว้นสำหรับ DIFC และ ADGM ที่ใช้กฎหมายคุ้มครองข้อมูลของตนเอง รายการเรียกเข้าถึงและข้อมูลอ้างอิง Credential ประกอบไปด้วยข้อมูลส่วนบุคคลเป็นประจำ ดังนั้นผู้ดำเนินการการจัดการการเข้าถึงพิเศษหรือการกำกับดูแลอัตลักษณ์เป็นผู้ควบคุมหรือประมวลผลข้อมูลสำหรับข้อมูลที่สัมผัสอยู่ โดยมีหน้าที่ทางกฎหมายทั่วไปในการรักษาความปลอดภัยและการจัดการเหตุการณ์รั่วไหลที่ต่อเนื่องจากสถานะนั้น

คณะมนตรีความปลอดภัยทางไซเบอร์ UAE ประสานกลยุทธ์ความปลอดภัยทางไซเบอร์ระดับชาติ โดยมีเป้าหมายที่ระบุว่าจะปกป้องโครงสร้างพื้นฐานสำคัญและปรับปรุงการตอบสนองต่อเหตุการณ์ทั่วรัฐบาลและภาคเอกชน มันไม่ได้ออกใบอนุญาตให้ผู้ค้าความปลอดภัยอัตลักษณ์เอกชน แต่เมื่อมีลูกค้าที่อยู่ในภาคซึ่งถือว่าเป็นโครงสร้างพื้นฐานสำคัญ ข้อคาดหวังของคณะมนตรีจะถึงผู้ขายผ่านข้อสัญญาด้านความปลอดภัยและรายงานเหตุการณ์ของลูกค้าเองมากกว่าที่จะผ่านใบอนุญาตโดยตรง บริษัทที่มีงานเกี่ยวข้องโดยตรงกับวัสดุเข้ารหัสมากกว่าแค่การควบคุมการเข้าถึงควรตรวจสอบเส้นทางแยกสำหรับ บริษัทการเข้ารหัสควอนตัมหรือการสื่อสารที่ปลอดภัย

อุปกรณ์คือพื้นที่เดียวที่หน่วยงานกำกับดูแลโทรคมนาคมและรัฐบาลดิจิทัล (TDRA) มีบทบาทโดยตรง ฮาร์ดแวร์และอุปกรณ์เครือข่ายที่ใช้, ขาย หรือจำหน่ายใน UAE โดยทั่วไปต้องลงทะเบียนกับ TDRA ก่อนที่จะใช้งาน ธุรกิจซอฟต์แวร์ล้วน ๆ หรือ SaaS มักจะไม่เกิดการร้องขอการลงทะเบียนนี้ แต่ผู้ขายที่จัดส่งโมดูลความปลอดภัยของฮาร์ดแวร์หรืออุปกรณ์เครือข่ายควรตรวจสอบการลงทะเบียนก่อนการนำเข้า

การเปิดบัญชีธนาคารนิติบุคคลของบริษัทเองในยูเออีเป็นจุดที่การเก็บรักษาข้อมูลรับรองกลายเป็นคำถามด้านการธนาคาร ไม่ใช่เรื่องเทคนิคอย่างเดียว ธนาคารจะถามว่าบริษัทมองเห็นและสัมผัสสิ่งใดได้ภายในสภาพแวดล้อมของลูกค้า มีการบันทึกการเข้าถึงอย่างไร และใครอนุมัติการข้ามขั้นตอนฉุกเฉินได้ ซึ่งใกล้เคียงกับการตรวจสอบผู้ให้บริการที่มีการจัดการมากกว่าผู้ขายต่อซอฟต์แวร์ ควรเตรียมการก่อนการประชุมเปิดบัญชีครั้งแรก ดูความพร้อมสำหรับบัญชีธนาคารนิติบุคคล

ลูกค้าองค์กรและหน่วยงานรัฐประเมินซัพพลายเออร์ด้วยตนเองก่อนให้สิทธิ์เข้าถึง ครอบคลุมการตรวจสอบประวัติบุคลากร การแบ่งแยกหน้าที่ และมาตรการกู้คืน คำตอบที่น่าเชื่อถือแยกรูปแบบการดำเนินงานปกติออกจากกรณีล้มเหลว คือใครเป็นผู้นำการตอบสนองต่อเหตุการณ์ และใครรับความสูญเสียหากมีการใช้เซสชันสิทธิ์พิเศษในทางที่ผิด หลักฐานของแผนที่มีเงินทุนรองรับ คือสัญญา บุคลากร และโครงสร้างพื้นฐานที่ผูกพันแล้ว มีน้ำหนักมากกว่าคำอธิบายเจตนาในอนาคต ดูแผนธุรกิจและเอกสาร

ธุรกิจ PAM หรือการจัดการสิทธิ์การเข้าถึงผู้ใช้งาน (identity-governance) จำเป็นต้องมีบุคคลที่รับผิดชอบอยู่เบื้องหลังควบคุม ไม่ใช่เพียงแค่รายชื่อผู้ถือหุ้น ลูกค้าคาดหวังที่จะมีผู้ที่รับผิดชอบสำหรับคลังข้อมูลสิทธิเข้า ห้องแยกผู้อนุมัติสำหรับการเข้าถึงฉุกเฉินเพื่อที่บุคคลเดียวกันจะไม่ได้มีสิทธิ์ทั้งอนุญาตและใช้เซสชันพิเศษ และผู้ติดต่อสำหรับการตอบสนองต่อเหตุการณ์ที่สามารถติดต่อได้ตลอดเวลา ผู้บริหารตามชื่อที่ไม่ได้เป็นผู้ที่ทำการตัดสินใจเข้าถึงจริงแต่ทำให้คำตอบในแบบสอบถามความปลอดภัยของบริษัทอ่อนแอลง

เมื่อความเป็นเจ้าของมีนักลงทุนต่างชาติ บริษัทโฮลดิ้งหลายชั้น หรือผู้ถือหุ้นผสมระหว่างบุคคลธรรมดาและนิติบุคคล เส้นทางการจัดตั้งและเอกสารที่ธนาคารหรือลูกค้าต้องการจะซับซ้อนยิ่งขึ้น ดูโครงสร้างความเป็นเจ้าของที่อยู่ภายใต้การกำกับดูแลและซับซ้อน เมื่อประวัติเงินทุนของนักลงทุนเองจะถูกตรวจสอบระหว่างเปิดบัญชี ให้เตรียมหลักฐานนั้นควบคู่กันไป แทนที่จะเตรียมหลังจากธนาคารร้องขอ ดูแหล่งที่มาของความมั่งคั่งและเงินทุน

ความล้มเหลวที่เกิดซ้ำเกิดขึ้นที่โครงสร้าง ไม่ใช่ที่การบริหาร สิทธิ์การสนับสนุนที่วิศวกรทุกคนสามารถใช้ได้จะลบล้างเส้นทางการตรวจสอบที่ลูกค้าจ่ายเงิน ซื้อขายซอฟต์แวร์ที่ไม่รวมถึงระบบควบคุมที่เป็นจุดขายของผลิตภัณฑ์จะล้มเหลวหากมีการอนุมัติและใช้สิทธิ์เข้าถึงพิเศษโดยผู้ดูแลระบบเพียงคนเดียว การทำให้การกู้คืนฉุกเฉินพึ่งพาบุคคลหรือภูมิภาคเพียงคนเดียวจะเปลี่ยนการขาดงานครั้งเดียวเป็นการขัดข้องสำหรับลูกค้าทั้งหมดที่บริษัทบริการ ขายบริการซึ่งถือครองสิทธิ์เข้าถึงและจัดการให้ภายใต้เงื่อนไขสัญญาแค่เพื่อการส่งมอบซอฟต์แวร์จะทำให้บริษัทต้องรับผิดชอบสำหรับการควบคุมซึ่งไม่ได้กำหนดราคาไว้

ข้อบกพร่องที่พบบ่อยประการที่สองคือความสัมพันธ์กับพันธมิตรที่ไม่มีเอกสาร เมื่อบริการบางส่วนอยู่กับผู้ให้บริการรายอื่น (การโฮสต์ การเชื่อมต่อเฉพาะ หรือการตอบสนองนอกเวลาทำการ) สัญญาควรระบุเป็นลายลักษณ์อักษรถึงขอบเขต มาตรฐาน การเข้าถึงหลักฐาน ความรับผิด และการสิ้นสุด ก่อนที่ลูกค้าจะเข้าใจว่าบริษัทในยูเออีเป็นเจ้าของบริการทั้งหมด

เมื่อออกใบอนุญาตแล้ว วีซ่า สถานที่ประกอบการ และการต่ออายุเป็นไปตามกฎเดียวกับบริษัทเทคโนโลยีทั่วไป โดยมีข้อเพิ่มเติมหนึ่งข้อ คือบุคลากรที่จะถือหรืออนุมัติสิทธิ์เข้าถึงพิเศษเป็นบุคคลที่กระบวนการตรวจสอบของลูกค้าจะถามชื่อเป็นรายคน จึงควรจัดลำดับการสรรหาให้เสร็จก่อนสัญญาองค์กรฉบับแรก ไม่ใช่หลังจากนั้น ค่าธรรมเนียมใบอนุญาตประกอบธุรกิจเมนแลนด์ (mainland) กำหนดโดย DET ตามรูปแบบทางกฎหมายและกิจกรรมที่เลือก ส่วนแพ็กเกจฟรีโซน (free zone) ที่มีเฉพาะใบอนุญาตมักถูกกว่าแต่ต่างกันไปตามโซน ควรขอตัวเลขปัจจุบันจาก DET หรือฟรีโซนที่เลือกโดยตรงก่อนจัดทำงบประมาณ เพราะค่าธรรมเนียมของทั้งสองเส้นทางไม่ครอบคลุมความสามารถด้านวิศวกรรม การตรวจสอบประวัติ และการตอบสนองต่อเหตุการณ์ที่ลูกค้าหรือธนาคารคาดว่าจะเห็นว่ามีเงินทุนรองรับ การจดทะเบียนภาษีนิติบุคคลกับ Federal Tax Authority (FTA) เป็นข้อกำหนดสำหรับบริษัทในฐานะนิติบุคคลภายในกำหนดเวลาตาม FTA Decision No. (3) of 2024 ซึ่งนับจากการจัดตั้งหรือการออกใบอนุญาต ไม่ใช่จากวันที่ธุรกิจเริ่มค้าขาย FTA ระบุว่าการจดทะเบียนไม่มีค่าใช้จ่าย ขอใบอนุญาตประกอบการค้า ใบรับรองการจัดตั้งหรือข้อบังคับ รวมทั้ง Emirates ID และหนังสือเดินทางของเจ้าของที่ถือหุ้นเกิน 25 % ทุกราย และผู้มีอำนาจลงนาม และใช้เวลา 20 วันทำการนับจากได้รับใบสมัครที่สมบูรณ์ นอกเหนือจากค่าธรรมเนียมใบอนุญาต ต้นทุนประกอบขึ้นเป็นชั้น ๆ และค่าบริการ Velarozone ระบุเป็นรายการในหนังสือข้อตกลงการให้บริการ (engagement letter) ดูVelarozone ทำงานอย่างไร